KVKK aydınlatma metni nasıl hazırlanır?

Kişisel veri işleyen herkesin, veriyi topladığı sırada ilgili kişiyi bilgilendirme yükümlülüğü var. Bu bilgilendirmenin yazılı hali aydınlatma metni. Web sitesi işleten bir şirket için bu, ziyaretçiden ad, e-posta, IP adresi ya da çerez verisi alındığı anda başlıyor.

Uygulamada en sık karşılaşılan sorun metnin hiç olmaması değil; internetten kopyalanmış, şirketin gerçekte ne yaptığını anlatmayan bir metnin kullanılması. Aşağıda hem zorunlu unsurları hem de metnin nasıl yazılması gerektiğini derledik.

Aydınlatma metni oluşturmak, çoğu şirketin ilk kez bir hukuk danışmanına sorduğu iş oluyor. Oysa metnin iskeleti mevzuatta tanımlı; asıl emek, şirketin gerçekte hangi veriyi hangi amaçla işlediğini çıkarmakta. O envanter doğru çıkarıldığında metin büyük ölçüde kendiliğinden yazılıyor.

Aydınlatma metni ile açık rıza aynı şey değil

Bu ayrım her şeyin temeli. Aydınlatma bir bilgilendirme, açık rıza ise bir izin. İkisi farklı hukuki işlev görüyor ve karıştırılmamaları gerekiyor.

Aydınlatma yükümlülüğü her koşulda var. Veriyi hangi hukuki sebebe dayanarak işlerseniz işleyin, ilgili kişiyi bilgilendirmek zorundasınız. Açık rıza ise yalnızca başka bir hukuki sebep bulunmadığında devreye giriyor.

Pratik sonucu şu: aydınlatma metninin altına bir onay kutusu koyup "okudum, kabul ediyorum" dedirtmek yanlış bir kurgu. Aydınlatma kabul edilecek bir şey değil, yapılacak bir şey. Açık rıza gerekiyorsa ayrı ve seçimlik olarak alınmalı.

Aydınlatma metni ile gizlilik politikası aynı şey mi?

Kısaca hayır, ama iç içe geçiyorlar. KVKK'nın kullandığı terim aydınlatma metni; gizlilik politikası ise daha çok uluslararası kullanımdan gelen, kapsamı geniş bir belge.

Uygulamada iki yaklaşım da görülüyor. Bazı şirketler tek bir gizlilik politikası yazıp aydınlatma unsurlarını onun içine yerleştiriyor. Bazıları ise kısa ve odaklı ayrı aydınlatma metinleri hazırlayıp, ayrıntılı gizlilik politikasına bağlantı veriyor.

İkinci yaklaşım pratikte daha iyi çalışıyor. İş başvurusu yapan biriyle bültene abone olan birinin görmesi gereken bilgi aynı değil. Herkese aynı uzun metni göstermek, mevzuatın istediği anlaşılırlığı zayıflatıyor.

Metinde bulunması zorunlu beş unsur

Aydınlatma yükümlülüğünün nasıl yerine getirileceğini düzenleyen tebliğ, metinde yer alması gereken unsurları sayıyor. Bunlardan biri eksikse metin yükümlülüğü karşılamıyor.

• Veri sorumlusunun, varsa temsilcisinin kimliği
• Kişisel verilerin hangi amaçla işleneceği
• İşlenen verilerin kimlere ve hangi amaçla aktarılabileceği
• Kişisel veri toplamanın yöntemi ve hukuki sebebi
• İlgili kişinin kanunda sayılan hakları

Kimlik kısmı çoğu metinde eksik kalıyor. Şirket unvanı, adres ve iletişim bilgisi net yazılmalı; ziyaretçi kime başvuracağını bilmeli.

Aktarım kısmı ise en çok atlanan yer. Kullandığınız her dış servis bir aktarım anlamına gelebiliyor: analitik aracı, e-posta gönderim servisi, ödeme sağlayıcısı, müşteri destek widget'ı. Bunların bir kısmı yurt dışında bulunuyor ve bu ayrıca belirtilmesi gereken bir durum.

Yurt dışına aktarım bölümünde iki soruyu ayrı ayrı cevaplamak gerekiyor: veri kime gidiyor ve hangi ülkede işleniyor. Bir hizmetin merkezinin nerede olduğu ile verinin fiziksel olarak nerede tutulduğu her zaman aynı yer olmuyor.

Sık kullanılan araçların çoğu bu kapsama giriyor. Analitik araçları, reklam pikselleri, video gömme servisleri, canlı destek widget'ları, ödeme sağlayıcıları ve e-posta gönderim servisleri tipik örnekler.

Sitenizde hangi üçüncü taraf servislerin çalıştığını ve hangi ülkede bulunduklarını otomatik tarama ile çıkarabilirsiniz. Aktarım bölümünü bu listeye bakarak yazmak, tahminle yazmaktan daha güvenli.

Amaç yazarken belirsiz ifadelerden kaçının

Tebliğ, genel ve belirsiz ifadeler kullanılmamasını açıkça istiyor. "Hizmetlerimizin geliştirilmesi amacıyla" gibi bir cümle tek başına amacı karşılamıyor.

Amaç ne kadar somutsa metin o kadar sağlam oluyor. "Sipariş kaydının oluşturulması ve kargo takibinin sağlanması" ya da "site kullanım istatistiklerinin ölçülmesi" gibi ifadeler hem anlaşılır hem savunulabilir.

Aydınlatma yükümlülüğü yerine getirilirken anlaşılır, açık ve sade bir dil kullanılması esastır.

Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ

Her veri toplama kanalı için ayrı düşünün

Aydınlatma yalnızca web sitesiyle sınırlı değil. Veri hangi kanaldan toplanıyorsa o kanalda yapılmalı.

• Web sitesindeki iletişim ve kayıt formları
• Çerezler ve site içi izleme araçları
• Çağrı merkezi görüşmeleri
• İş başvurusu formları
• Fiziksel mekânlardaki kamera kayıtları

Kamera kaydı özellikle atlanıyor. Mağaza, ofis ya da depo girişinde kamera varsa görünür bir yerde kısa bir aydınlatma bulunması gerekiyor. Ayrıntılı metne yönlendiren kısa bir levha bu iş için yeterli.

Web sitesinde nereye konur

Metin, verinin toplandığı yerden erişilebilir olmalı. Sadece altbilgiye bir bağlantı koyup formda hiç bahsetmemek zayıf bir kurgu.

• Her formun yanında metne giden bir bağlantı bulunmalı
• Çerez bandında çerez politikasına ve aydınlatma metnine erişim olmalı
• Metin ayrı bir sayfada, kalıcı bir adreste durmalı
• Yürürlük tarihi ve sürüm bilgisi görünmeli

Sürüm bilgisi çoğu sitede yok ama önemli. Bir uyuşmazlıkta "o tarihte ziyaretçiye hangi metin gösterildi" sorusunun cevabı gerekiyor.

Saklama süresi metinde belirtilmeli mi?

Zorunlu unsurlar arasında ayrı bir başlık olarak sayılmasa da, saklama süresine yer vermek hem şeffaflık ilkesinin hem de ilgili kişinin haklarını kullanabilmesinin gereği. Verinin ne kadar tutulacağını bilmeyen bir kişi silme talebini de değerlendiremiyor.

Süreyi gün cinsinden vermek zorunda değilsiniz. Kanuni bir saklama yükümlülüğü varsa ona atıf yapmak, yoksa amacın ortadan kalkmasına bağlamak yeterli oluyor.

• Fatura ve muhasebe kayıtları için kanuni süre
• Sözleşme ilişkisi boyunca ve sonrasında zamanaşımı süresince
• Bülten aboneliğinde abonelik sona erene kadar
• Çerez verisinde çerezin kendi ömrü kadar

Son madde çoğu metinde eksik. Çerezlerin saklama süresi çerez politikasında tablo halinde verildiğinde hem aydınlatma tamamlanıyor hem de ziyaretçi somut bir bilgiye ulaşıyor.

Sık yapılan beş hata

• Başka bir siteden kopyalanan, şirketin gerçek faaliyetini anlatmayan metin
• Aydınlatma ile açık rızanın tek bir onay kutusunda birleştirilmesi
• Kullanılan üçüncü taraf servislerin hiç sayılmaması
• Yurt dışına aktarımdan hiç söz edilmemesi
• Metnin bir kez yazılıp yıllarca güncellenmemesi

Sonuncusu en sinsi olanı. Metin yazıldığı gün doğru olabilir; ama pazarlama ekibi yeni bir etiket ekler, ürün ekibi yeni bir servis bağlar ve metin sessizce eskir.

Kopyalanan metin sorunu göründüğünden daha yaygın. Aynı cümlelerin onlarca sitede birebir tekrarlandığını görmek mümkün. Bir denetimde metnin şirketin gerçek faaliyetiyle örtüşmediği ortaya çıktığında, metnin varlığı savunma sağlamıyor.

Bu yüzden aydınlatma metnini tek seferlik bir iş olarak görmemek gerekiyor. Sitede ne çalıştığını düzenli tarama ve değişiklik izleme ile takip etmek, metnin ne zaman güncellenmesi gerektiğini de gösteriyor.

Ne zaman güncellenmeli

Veri işleme faaliyetiniz değiştiğinde metin de değişmeli. Pratikte şu durumlar tetikleyici oluyor:

• Yeni bir analitik, reklam ya da destek aracı eklendiğinde
• Ödeme, e-posta ya da barındırma sağlayıcısı değiştiğinde
• Yeni bir form ya da veri toplama noktası açıldığında
• Şirket unvanı, adresi veya iletişim bilgisi değiştiğinde
• Verinin saklandığı ülke değiştiğinde

Hazır şablonla mı yazmalı, sıfırdan mı?

Şablon kullanmak yasak değil, hatta mantıklı. Mevzuatın istediği unsurlar sabit olduğu için her metni sıfırdan kurgulamanın anlamı yok. Sorun şablonun kendisinde değil, doldurulmadan kullanılmasında.

İnternette dolaşan hazır metinlerin çoğu bir başka şirketin faaliyetini anlatıyor. İçindeki amaçlar, aktarımlar ve saklama süreleri sizin işinize ait değil. Böyle bir metin dosyada durur ama yükümlülüğü karşılamaz.

Doğru kurgu şu: iskelet şablondan gelsin, içerik sizin gerçek veri işleme faaliyetinizden. Bunun için önce envanterin çıkarılması gerekiyor. Hangi formlar var, hangi araçlar çalışıyor, veri nereye gidiyor.

DILAYS bu iki adımı birleştiriyor. Sitenizi tarayıp hangi üçüncü taraf servislerin çalıştığını çıkarıyor, ardından işletme tipinize ve seçtiğiniz çerçeveye göre politika ve aydınlatma metni taslaklarını üretiyor. KVKK aydınlatma metni Türkçe şablonla hazırlanıyor.

Üretilen metin bir taslak; hukuki sorumluluk her koşulda veri sorumlusunda kalıyor. Ama boş sayfadan başlamakla, envanteri çıkarılmış bir taslağı gözden geçirmek arasında ciddi fark var.

Kontrol listesi

• Beş zorunlu unsurun hepsi metinde var mı?
• Amaçlar somut mu, yoksa genel ifadeler mi kullanılmış?
• Kullandığınız üçüncü taraf servisler sayılmış mı?
• Yurt dışına aktarım varsa belirtilmiş mi?
• Aydınlatma ile açık rıza birbirinden ayrılmış mı?
• Metin veri toplanan her noktadan erişilebilir mi?
• Yürürlük tarihi ve sürüm bilgisi var mı?
• Son güncellemeden bu yana sitede yeni bir servis eklendi mi?

Bu maddelerin çoğu bir kez yapılıp bitmiyor. Kendi altyapımızda veriyi nasıl işlediğimizi ve neyi sakladığımızı Trust Center'da yazdık; aynı soruları kendinize sormanın iyi bir başlangıç olduğunu düşünüyoruz.